Les cyberattaques dans le secteur de la santé menacent désormais la prise en charge des patients

Pendant des années, les responsables de la sécurité dans le secteur de la santé ont considéré la cyberattaque comme un événement financier. Les recherches les plus récentes montrent qu’il s’agit d’un enjeu clinique. Selon l’étude 2026 menée par Proofpoint et le Ponemon Institute, 97 % des organisations de santé interrogées ont subi au moins une cyberattaque au cours des 12 derniers mois, et 74 % d’entre elles ont signalé une perturbation des soins aux patients.

Le nombre moyen d’attaques est passé à 51 par organisation, contre 43 l’année précédente. Le coût de l’attaque la plus coûteuse a augmenté de près de 8 %, passant de 3,9 à 4,2 millions de dollars. Ces chiffres proviennent des réponses de 705 professionnels IT et sécurité de la santé aux États-Unis. Ils reflètent donc une tendance, pas un recensement. Ils restent néanmoins l’indicateur le plus clair dont dispose le secteur pour comprendre comment les attaques se traduisent par des retards de procédures, des séjours prolongés et des complications.

Voici l’argument dans son ensemble. Toutes ces attaques aboutissent au même point pour un RSSI ou un responsable de la confidentialité. Un régulateur, un auditeur ou un avocat vous demandera de prouver ce qu’il est advenu des informations médicales protégées et qui y a accédé. La détection compte, mais c’est la preuve qui fait la différence. Kiteworks secure data exchange répond à ce second enjeu, et les sections suivantes expliquent pourquoi la plupart des organisations sont les moins préparées à ce défi.

Résumé des points clés

1. Les attaques sont désormais un problème de soins aux patients.

Parmi les organisations de santé touchées l’an dernier, près de trois sur quatre ont signalé une perturbation des soins, faisant passer la question d’un risque financier à un risque clinique.

2. Deux jeux de données sur les coûts peuvent être justes.

L’un mesure le coût moyen d’une violation, l’autre le coût de l’attaque la plus coûteuse subie par une organisation. Ainsi, une moyenne en baisse peut coexister avec un plafond en hausse.

3. Les attaques sur la supply chain sont les plus dommageables.

Neuf organisations touchées sur dix ont signalé une perturbation des soins liée à des attaques sur la supply chain, ce qui signifie que les échanges de données avec des tiers doivent figurer dans le registre des risques cliniques.

4. La HIPAA ne dépend pas de la règle finale.

La révision proposée de la Security Rule n’est encore qu’un projet, mais l’identification unique des utilisateurs, les contrôles d’audit et la notification des violations s’appliquent déjà aujourd’hui.

5. La preuve prime sur la posture.

La moitié des organisations interrogées dans une enquête de 2026 ne peuvent pas produire un historique complet des accès aux données d’IA en une journée ouvrée. C’est donc l’écart de preuve qui alimentera la prochaine sanction.

Ce que révèle l’étude 2026

Les chiffres clés méritent une lecture attentive. Commençons par l’impact sur les soins, car il change la donne. Parmi les organisations ayant signalé une perturbation liée à l’un des quatre types d’attaques étudiés (compromission de comptes et du cloud, ransomware, supply chain et compromission d’e-mails professionnels), 53 % ont évoqué davantage de complications lors des procédures, 52 % des séjours prolongés, et 52 % des retards dans les tests ou les interventions.

Il s’agit d’une perte d’un autre ordre. Une clinique peut budgéter un incident à 4,2 millions de dollars. Elle ne peut pas budgéter un test retardé.

La structure des coûts va dans le même sens. La perturbation opérationnelle représente la plus grande part, avec une moyenne de 1,39 million de dollars, et l’inactivité et la perte de productivité atteignent en moyenne 1,05 million de dollars. Les rançons pèsent de moins en moins dans la facture globale. Parmi les victimes de ransomware, 31 % ont payé, contre 33 % l’année précédente, et le paiement le plus élevé est passé de 1,2 à 1,1 million de dollars. Les organisations paient moins les attaquants, mais paient davantage pour les interruptions d’activité.

La perte de données ajoute une dimension souvent négligée. Les organisations ont subi en moyenne 21 incidents de perte ou d’exfiltration de données sensibles de santé sur deux ans. Parmi les répondants ayant signalé que ces incidents ont perturbé les soins (54 %), 56 % ont constaté une augmentation du taux de mortalité. Il s’agit de perceptions déclarées par les professionnels, pas de données cliniques, donc à prendre avec précaution. Il reste frappant de voir des experts sécurité les consigner noir sur blanc.

La négligence des collaborateurs est la cause principale de perte de données déclarée. Les erreurs ordinaires sont plus fréquentes que les incidents spectaculaires, comme dans la plupart des secteurs.

Deux jeux de données qui semblent s’opposer

C’est ici que commence la lecture à contre-courant. Le rapport IBM 2026 sur le coût d’une violation de données indique que la santé reste le secteur où les violations coûtent le plus cher, à 6,64 millions de dollars, mais ce chiffre a baissé de 10,5 % par rapport à 7,42 millions en 2025, selon Becker’s Hospital Review.

Une moyenne en baisse à côté d’un pire cas en hausse peut sembler contradictoire. Il s’agit d’une différence de méthode. IBM, en collaboration avec le Ponemon Institute, analyse les organisations ayant subi une violation et calcule la moyenne des coûts. L’étude Proofpoint et Ponemon demande à chaque organisation le coût de son attaque la plus coûteuse, puis ajoute la fréquence, la perturbation opérationnelle et l’impact sur les patients. Un outil décrit le centre de la distribution, l’autre la queue, là où siègent les conseils d’administration des hôpitaux.

Ne laissez donc personne vous dire que les coûts baissent et que le problème s’atténue. Mais ne croyez pas non plus l’inverse sur la base d’une seule enquête. La synthèse honnête est plus étroite et plus utile : dans les deux cas, les violations coûtent cher à la santé, et la seconde étude montre que le préjudice passe du financier au clinique.

Cela change la façon de s’adresser à un conseil d’administration. Un conseil qui entend « le coût moyen des violations baisse » se détendra. Un conseil qui entend « notre pire jour empire, et il touche désormais les soins aux patients » exigera des contrôles. C’est la seconde affirmation qui reflète la réalité d’un programme de sécurité, car votre exposition dépend de votre pire scénario, pas de la moyenne du secteur.

Supply chain, ransomware et attaques par e-mail touchent les services de soins

Tous les types d’attaques n’affectent pas les patients avec la même intensité. Les attaques sur la supply chain ont eu l’impact le plus fort dans les données Proofpoint et Ponemon. 90 % des organisations touchées ont signalé une perturbation des soins, contre 87 % en 2025. C’est la conclusion la plus marquante de l’étude.

Ce constat rejoint les observations d’autres chercheurs sur le marché. Le rapport 2026 de Black Kite sur les violations impliquant des tiers a recensé 136 incidents avérés en 2025, avec un délai médian de 73 jours entre la compromission et la divulgation publique. Un prestataire peut être compromis pendant dix semaines avant que vous n’en soyez informé, et pendant ce temps, les dossiers de vos patients transitent par un partenaire que vous ne contrôlez pas.

Les attaques par ransomware illustrent le lien avec les soins de la façon la plus directe. Parmi les organisations de santé ayant subi un ransomware, 72 % ont signalé une perturbation des soins, contre 67 % l’année précédente, et 70 % d’entre elles ont évoqué des séjours prolongés. La compromission d’e-mails professionnels a un impact clinique différent : parmi les organisations ayant signalé une perturbation, 68 % l’ont attribuée à des retards de procédures et de tests ayant entraîné de mauvais résultats.

L’adoption du cloud complique tout cela. L’étude révèle que 35 % des organisations ont migré des applications cliniques vers le cloud, contre 30 % auparavant, et 44 % prévoient de le faire sous deux ans. Les compromissions de comptes cloud et d’identifiants atteignent jusqu’à 20 par organisation, perturbant les soins pour 65 % des répondants.

Lisez ces quatre constats ensemble et la structure apparaît clairement. Ransomware, compromission d’e-mails et prise de contrôle de comptes cloud sont autant de portes d’entrée vers le même point : les données sensibles échangées entre votre organisation et un tiers. Si vous ne pouvez pas visualiser et contrôler ces échanges sur la messagerie, le partage de fichiers, le transfert, les formulaires et les API depuis un point unique, vous défendez quatre périmètres avec quatre journaux différents. Un moteur de règles et un journal d’audit uniques, comme le propose Kiteworks secure data exchange sur ces canaux, réduisent le nombre de points de défaillance potentiels lors d’une demande de preuve.

Pourquoi la preuve compte plus que la détection

Voyons ce qui se passe après une attaque sur un réseau de santé régional. L’équipe sécurité la maîtrise. Les opérations cliniques reprennent. Puis une autre course contre la montre commence. Les exigences de notification de violation de la HIPAA imposent un délai maximal de 60 jours à compter de la découverte pour informer les personnes concernées, et les questions du régulateur arrivent à leur propre rythme.

Cette partie du travail n’apparaît jamais sur le tableau de bord des incidents. La question n’est pas de savoir si vous avez repéré l’intrusion, mais si vous pouvez reconstituer, à partir de journaux fiables, quelles données patients étaient accessibles, qui y a accédé et si les contrôles ont fonctionné comme prévu.

Il est important de bien cerner ce qu’exige la loi aujourd’hui. La HIPAA Security Rule impose déjà l’identification unique des utilisateurs et des contrôles d’audit, et considère le chiffrement des informations médicales protégées électroniques comme une spécification à mettre en œuvre, selon le texte du 45 CFR 164.312. La réforme d’envergure visant à renforcer ces exigences a été proposée en janvier 2025, mais n’a pas encore été finalisée. L’agenda réglementaire de l’OMB prévoit une règle finale pour juillet 2027, selon The HIPAA Journal.

Certains voient dans ce délai un sursis. Ce n’en est pas un. Les obligations actuelles exigent déjà de prouver le contrôle d’accès et la capacité d’audit, et les sanctions tombent sur la base de la règle actuelle. The HIPAA Journal rapporte qu’en 2026, l’OCR a infligé une amende de 450 000 dollars à une entreprise pour défaut d’analyse des risques, preuve que le régulateur se concentre sur les fondamentaux.

Les régulateurs s’intéressent aux données, pas aux modèles ni à l’état d’esprit. La HIPAA ne fait pas de distinction entre accès humain ou automatisé. Elle exige que l’accès soit autorisé, consigné et défendable.

La couche IA que la plupart des programmes n’ont pas encore encadrée

L’étude Proofpoint et Ponemon apporte un constat à intégrer dans le prochain board deck de tout RSSI du secteur santé. Parmi les répondants, 45 % ont intégré l’IA à la cybersécurité ou aux soins, et 60 % n’ont pas de contrôles pour les données sensibles utilisées dans les systèmes basés sur l’IA. Seuls 32 % déclarent avoir une visibilité complète sur l’utilisation d’outils IA non approuvés par les collaborateurs, et les agents IA sans garde-fous figurent parmi les principales causes de perte de données pour 24 % des répondants.

En clair, le secteur adopte l’IA plus vite qu’il ne gouverne les données auxquelles l’IA accède. Dans la santé, ces données sont des PHI, ce qui accroît les enjeux, mais le fossé est le même partout. Les recherches Kiteworks vont dans le même sens, comme la section suivante le montre.

Le principe de gouvernance est simple à formuler, mais difficile à appliquer. Un outil ou agent IA qui accède à des données patients doit être rattaché à l’autorité d’un humain, limité au strict nécessaire, et consigné dans un journal qui résiste à l’audit. La règle du minimum nécessaire HIPAA s’applique aux données, pas à la personne ou à l’outil qui les demande. Un compte de service partagé entre un outil IA et une base de données pose problème pour l’identification unique, car le journal affiche le compte et non la personne à l’origine de l’accès.

C’est là que Kiteworks Compliant AI et le Secure MCP Server interviennent. Ils appliquent les mêmes politiques RBAC et ABAC et la même journalisation d’audit que pour les accès humains, de sorte qu’une intégration IA lit les données patients dans le même cadre de contrôle et laisse la même trace. Kiteworks n’a pas participé à l’étude Proofpoint et Ponemon, et rien ici ne prétend qu’une plateforme aurait empêché les attaques mesurées.

Ce que révèle l’enquête Kiteworks sur la capacité à prouver

La preuve la plus flagrante de l’écart de preuve vient d’un autre outil. Le rapport annuel 2026 de Kiteworks sur la sécurité et la conformité des données a interrogé 459 professionnels de la sécurité, de la conformité et de la technologie tous secteurs confondus au deuxième trimestre 2026. Il s’agit de déclaratif, à l’échelle mondiale, sans focus santé. 63 % des organisations ont subi au moins une conséquence liée à la conformité au cours des 12 derniers mois : constat d’audit, plan de remédiation, remontée au board, pénalité contractuelle ou enquête réglementaire.

Les chiffres sur la préparation à l’audit devraient alerter tout responsable de la confidentialité. La moitié des organisations ne peuvent pas produire un historique complet des accès IA en une journée ouvrée, et 67 % n’ont pas de journal d’audit infalsifiable. Or, c’est ce type de journal que l’enquêteur examine pour s’assurer que les traces n’ont pas été modifiées après coup. Un journal qui ne peut pas prouver sa propre intégrité n’est qu’un carnet, pas une preuve.

La part des répondants du secteur santé est faible (environ 8 %), donc à prendre comme une tendance. Elle reste intéressante. Les organisations de santé obtiennent un score supérieur à la moyenne sur les contrôles de sécurité, avec un Data Security Maturity Score moyen de 42,3 contre 39 au global. Le profil dominant du secteur est qualifié de Fortified dans le rapport, à 1,84 fois le taux attendu. Cela signifie une infrastructure de sécurité robuste, mais pas encore étendue à la gouvernance spécifique à l’IA.

L’argent ne comble pas ce fossé. Dans le rapport annuel 2026, les 54 % de répondants qui consacrent au moins un quart de leur budget IT à la cybersécurité affichent un score moyen de maturité de 39,7, quasiment identique à la moyenne générale de 39,2. Les investissements suivent l’intention, les contrôles suivent l’architecture.

C’est le fil rouge entre les deux études. Les attaques recensées dans les données Proofpoint et Ponemon représentent le coût de l’exposition. Les lacunes d’audit dans les données Kiteworks représentent le coût de l’incapacité à prouver ce qui s’est passé après coup. Les organisations de santé paient les deux, mais un seul apparaît dans les gros titres des fournisseurs.

Que faire avant la prochaine demande d’audit

Cessez de vous demander si votre organisation survivrait à une attaque. Posez une question plus difficile : si l’OCR ou un plaignant exigeait, pour vendredi, l’historique d’accès aux données d’un patient sur tous les canaux, qui le produirait et en combien de temps ?

Voici le travail à mener, dans l’ordre que je recommande.

Commencez par les canaux. Cartographiez tous les flux par lesquels des PHI sortent ou entrent dans l’organisation : messagerie sécurisée, partage de fichiers, transfert sécurisé de fichiers, formulaires web, API et outils IA. L’enquête Kiteworks révèle que 54 % des organisations utilisent quatre plateformes ou plus pour l’échange de données sensibles, et 73 % n’ont aucun contrôle technique sur les canaux utilisés par les collaborateurs. Chaque plateforme supplémentaire, c’est un journal distinct, une règle distincte, une faille potentielle. Un outil comme DSPM pour la santé aide à la découverte, mais la découverte n’est pas l’application.

Puis centralisez les preuves. Alimentez un journal unique des journaux d’audit dans votre SIEM en temps réel, et vérifiez qu’un enquêteur pourrait s’y fier. La question n’est pas de savoir si vous journalisez, mais si le journal est complet, infalsifiable et attribuable à une personne nommée.

Ensuite, revoyez la gestion des tiers. Un taux de perturbation des soins de 90 % lors d’attaques sur la supply chain signifie que l’échange de données avec les fournisseurs est un risque clinique, pas un simple point d’achat. Exigez que les partenaires échangent des PHI via des canaux que vous contrôlez, appliquez les principes du zero trust data protection à ce qu’ils peuvent voir, et répétez votre plan de réponse aux incidents avec ces fournisseurs, pas seulement dans un document.

Enfin, placez l’IA au même niveau que les humains. Reliez les outils IA à des utilisateurs autorisés et au strict nécessaire, journalisez leurs actions et testez votre capacité à les couper. Les organisations qui exigent ces preuves avant l’auditeur sont celles qui les ont le moment venu. Kiteworks propose un Business Associate Agreement et des journaux d’audit alignés HIPAA pour les organisations de santé qui échangent des PHI. Son double chiffrement au repos, son architecture à locataire unique et son journal d’audit consolidé sont conçus pour répondre à la problématique de preuve décrite ci-dessus.

Tout cela ne nécessite pas d’attendre une règle finale. Il s’agit de considérer la preuve comme une exigence de conception, pas comme une urgence improvisée.

Pour en savoir plus sur la production de preuves prêtes pour l’audit lors de l’échange de PHI sous HIPAA, réservez votre démo sans attendre !

Ressources complémentaires

• Article de blog Architecture Zero Trust : Ne jamais faire confiance, toujours vérifier
• Vidéo Microsoft GCC High : Les inconvénients qui poussent les sous-traitants de la défense à chercher de meilleurs avantages
• Article de blog Comment sécuriser les données classifiées une fois signalées par le DSPM
• Article de blog Instaurer la confiance dans l’IA générative grâce à une approche Zero Trust
• Vidéo Guide de référence pour le stockage sécurisé des données sensibles à destination des responsables IT